17292

Ідентифікація та автентифікація

Лекция

Информатика, кибернетика и программирование

Лекція 2. Ідентифікація та автентифікація Основні поняття і класифікація Застосування при міжмережевій взаємодії відкритих каналів передачі даних створює потенційну загрозу проникнення зловмисників порушників. Якщо пасивний порушник має нагоду тільки проглядати

Украинкский

2013-06-30

136.5 KB

27 чел.

Лекція 2. Ідентифікація та автентифікація

Основні поняття і класифікація

Застосування при міжмережевій взаємодії відкритих каналів передачі даних створює потенційну загрозу проникнення зловмисників (порушників). Якщо пасивний порушник має нагоду тільки проглядати доступні йому повідомлення, то активний разом з прослуховуванням може перехоплювати, спотворювати і знищувати їх. Тому однією з важливих задач забезпечення інформаційної безпеки при міжмережевій взаємодії є використовування методів і засобів, що дозволяють одній (перевіряючій) стороні переконатися в автентичності іншої (тієї що перевіряється) сторони. Звичайно для вирішення даної проблеми застосовуються спеціальні прийоми, що дають можливість перевірити коректність повідомлень про те, що сторона, що перевіряється,  володіє певним секретом.

З кожним зареєстрованим в комп'ютерній системі суб'єктом (користувачем або процесом, діючим від імені користувача) зв'язана деяка інформація, що однозначно ідентифікує його. Це може бути число або рядок символів, що іменує даний суб'єкт. Таку інформацію називають ідентифікатором суб'єкта. Користувач, що має ідентифікатор, зареєстрований в мережі, вважається легальним (законним); решта суб'єктів відноситься до нелегальних..

Перш ніж отримати доступ до ресурсів комп'ютерної системи, користувач повинен пройти процес первинної взаємодії з комп'ютерною системою, який включає дві стадії - ідентифікацію і аутентифікацію.

Ідентифікація - це процедура розпізнавання користувача по його ідентифікатору (імені). Ця функція виконується в першу чергу, коли користувач робить спробу увійти до мережі. Він повідомляє системі по її запиту свій ідентифікатор, і система перевіряє в своїй базі даних його наявність.

Автентифікація - процедура перевірки автентичності, що дозволяє достовірно переконатися, що користувач є тим, ким він себе оголошує. При проведенні автентифікації перевіряюча сторона переконується в автентичності сторони, що перевіряється; сторона, що при цьому перевіряється, теж активно бере участь в процесі обміну інформацією. Звичайно користувач підтверджує свою ідентифікацію, вводячи в систему унікальну, не відому іншим користувачам інформацію про себе (наприклад, пароль або сертифікат).

Ідентифікація і аутентифікація - взаємозв'язані процеси розпізнавання і перевірки автентичності суб'єктів (користувачів). Саме від них залежить рішення системи, чи можна дозволити доступ до ресурсів системи конкретному користувачу або процесу.

Після того, як суб'єкт ідентифікований і автентифікований, виконується його авторизація. Це процедура надання суб'єкту певних прав і ресурсів в даній системі; іншими словами, авторизація встановлює сферу його дії і доступні йому ресурси КС.

Перераховані три процедури ініціалізації є процедурами захисту і відносяться до одного суб'єкту КС.

При захисті каналів передачі даних виконується взаємна автентифікація суб'єктів, тобто взаємне підтвердження автентичності суб'єктів, що зв'язуються між собою по лініях зв'язку. Процедура підтвердження автентичності виконується звичайно на початку сеансу при встановленні з'єднання абонентів; термін «з'єднання» указує на логічний зв'язок (потенційно двостороній) між двома суб'єктами мережі. Мета даної процедури - забезпечити впевненість, що з'єднання встановлено із законним суб'єктом і вся інформація дійде до місця призначення.

Для підтвердження своєї автентичності суб'єкт може пред'являти системі різні сутності. Залежно від сутностей, що пред'являються суб'єктом, процеси автентифікації можуть бути розділені на наступні категорії:

на основі знання чого-небудь. Прикладом можуть служити стандартні паролі, персональні ідентифікаційні номери (Personal Identification Numbers - PIN), а також секретні і відкриті ключі, знання яких демонструється в протоколах типу «запит—відповідь»;

на основі володіння чим-небудь. Звичайно це магнітні карти, смарт-карти, електронні ключі, сертифікати, пристрої touch-memory і персональні генератори, які використовуються для створення одноразових паролів;

на основі яких-небудь невід'ємних характеристик. Дана категорія включає методи, що базуються на перевірці біометричних характеристик користувача (голос, сітківка ока, відбитки пальців). В цій категорії не використовуються криптографічні методи і засоби. Автентифікація на основі біометричних характеристик, як правило, застосовується для контролю доступу в приміщення або до якої-небудь техніки.

Пароль - це те, що знає користувач і що також знає інший учасник взаємодії. Для взаємної автентифікації учасників взаємодії може бути організований обмін паролями між ними. Персональний ідентифікаційний номер PIN є випробуваним способом автентифікації володаря пластикової карти і смарт-карти. Секретне значення PIN-коду повинне бути відоме тільки володарю карти.

Динамічний (одноразовий) пароль — це пароль, який після однократного застосування ніколи більше не використовується. На практиці звичайно вибирають регулярно змінне значення, яке базується на постійному паролі або ключовій фразі.

Система «запит-відповідь» - одна із сторін ініціює автентифікацію за допомогою посилання іншій стороні унікального і непередбачуваного значення «запит», а інша сторона посилає відповідь, обчислену за допомогою запиту і секрету. Оскільки обидві сторони володіють одним секретом, то перша з них може перевірити правильність відповіді другої.

Сертифікати і цифрові підписи - якщо для автентифікації використовуються сертифікати, то потрібне застосування і цифрових підписів на них. Сертифікати видаються відповідальною особою в організації користувача, сервером сертифікатів або зовнішньою довіреною організацією. В рамках Internet з'явилося декілька комерційних інфраструктур PKI для розповсюдження сертифікатів електронних підписів. Користувачі можуть отримати сертифікати різних рівнів.

Процеси аутентифікації можна також класифікувати по рівню забезпечуваної безпеки. Відповідно до даного підходу процеси автентифікації розділяються на наступні типи:

  •  проста автентифікація (на основі використовування паролів);
  •  строга автентифікація (на основі використовування криптографічних методів і засобів);
  •  процеси (протоколи) автентифікації, що володіють властивістю доказу з нульовим знанням.

З погляду безпеки кожний з перерахованих типів сприяє рішенню певних задач, тому процеси і протоколи автентифікації активно використовуються на практиці. В той же час слід зазначити, що інтерес до протоколів автентифікації, володіючою властивістю доказу з нульовим знанням, носить поки швидше теоретичний, ніж практичний характер, але, можливо, в недалекому майбутньому їх почнуть активно використовувати для захисту інформаційного обміну.

Основними атаками на протоколи автентифікації є:

маскарад (impersonation). Користувач намагається видати себе за іншого з метою отримання привілеїв і можливості дій від імені іншого користувача;

підміна сторони автентифікаційного обміну (interleaving attack). Зловмисник в ході даної атаки бере участь в процесі автентифікаційного обміну між двома сторонами з метою модифікації проходячого через нього трафіка. Існує різновид атаки підміни: після успішного проходження автентифікації між двома користувачами і встановлення з'єднання порушник виключає якого-небудь користувача із з'єднання і продовжує роботу від його імені;

повторна передача (replay attack). Полягає в повторній передачі автентифікаційних даних яким-небудь користувачем;

віддзеркалення передачі (reflection attack). Один з варіантів попередньої атаки, в ході якої зловмисник в рамках даної сесії протоколу пересилає назад перехоплену інформацію;

вимушена затримка (forced delay). Зловмисник перехоплює деяку інформацію і передає її через деякий час;

атака з вибіркою тексту (chosen-text attack). Зловмисник перехоплює автентифікаційний трафік і намагається отримати інформацію про довготривалі криптографічні ключі.

Для запобігання таких атак при побудові протоколів автентифікації застосовуються наступні прийоми:

  •  використовування механізмів типу «запит-відповідь», міток часу, випадкових чисел, ідентифікаторів, цифрових підписів;
  •  прив'язка результату автентифікації до подальших дій користувачів в рамках системи. Прикладом подібного підходу може служити здійснення в процесі автентифікації обміну секретними сеансовими ключами, які використовуються при подальшій взаємодії користувачів;
  •  періодичне виконання процедур автентифікації в рамках вже встановленого сеансу зв'язку і т.п.

Механізм запиту-відповіді полягає в наступному. Якщо користувач А хоче бути упевненим, що повідомлення, одержувані ним від користувача В, не є помилковими, він включає в надіслане для В повідомлення непередбачуваний елемент - запит X (наприклад, деяке випадкове число). При відповіді користувач В повинен виконати над цим елементом певну операцію (наприклад, обчислити деяку функцію f (X)). Це неможливо здійснити наперед, оскільки користувачу В невідомо, яке випадкове число X прийде в запиті. Отримавши відповідь з результатом дій В, користувач А може бути упевнений в автентичності В. Недостаток цього методу - можливість встановлення закономірності між запитом і відповіддю.

Механізм відмітки часу має на увазі реєстрацію часу для кожного повідомлення. В цьому випадку кожний користувач мережі може визначити, наскільки повідомлення, що прийшло, «застаріло», і не прийняти його, оскільки воно може бути помилковим.

В обох випадках для захисту механізму контролю слід застосовувати шифрування, щоб бути упевненим, що відповідь надіслана не зловмисником.

При використовуванні відміток часу виникає проблема допустимого часового інтервалу затримки для підтвердження автентичності сеансу. Адже повідомлення з «часовим штемпелем» у принципі не може бути передано миттєво. Крім того, комп'ютерний годинник одержувача і відправника можуть не бути абсолютно синхронізовані.

При порівнянні і виборі протоколів автентифікації необхідно враховувати наступні характеристики:

  •  наявність взаємної автентифікації - ця властивість відображає необхідність обопільної автентифікації між сторонами автентифікаційного обміну;
  •  обчислювальна ефективність - кількість операцій, необхідних для виконання протоколу;
  •  комунікаційна ефективність - дана властивість відображає кількість повідомлень і їх довжину, необхідну для здійснення автентифікації;
  •  наявність третьої сторони - прикладом третьої сторони може служити довірений сервер розподілу симетричних ключів або сервер, що реалізував дерево сертифікатів для розподілу відкритих ключів;
  •  основа гарантій безпеки - прикладом можуть служити протоколи, що володіють властивістю доказу з нульовим знанням;
  •  зберігання секрету - мається на увазі спосіб зберігання критичної ключової інформації.

Слід зазначити, що автентифікація повинна застосовуватися не тільки для встановлення автентичності користувачів, але і для перевірки цілісності повідомлень і автентичності їх джерела. Після того, як відбулася успішна взаємна автентифікація абонентів, приходить черга автентифікації передаваних по захищеному каналу даних. Кожний одержувач інформації (пристрій, додаток або користувач) повинен мати підтвердження, що отримані ним дані були сформовані і відправлені тим відправником (пристроєм, додатком або користувачем), легальність якого була доведена під час попередньої процедури автентифікації.

Таким чином, необхідно забезпечити виконання наступних вимог захисту при обміні повідомленнями:

  •  одержувач повинен бути упевнений в автентичності джерела даних;
  •  одержувач повинен бути упевнений в автентичності передаваних даних;
  •  відправник повинен бути упевнений в доставці даних одержувачу;
  •  відправник повинен бути упевнений в автентичності доставлених даних.

Стосовно першої і другої вимог як засоб захисту виступає цифровий підпис. Для виконання останніх двох умов відправник повинен отримати повідомлення про вручення. Засобом захисту в такій процедурі є цифровий підпис  повідомлення-відповіді, яке, у свою чергу, служить доказом пересилки початкового повідомлення.

Якщо чотири вищеназвані вимоги реалізовано в КС, то гарантується захист цілісності даних і автентичності їх джерела при передачі інформації по каналу зв'язку, а також забезпечується функція захисту, звана функцією незаперечності  передачі. В цьому випадку відправник не може заперечувати ні факту посилання повідомлення, ні його змісту, а одержувач не може заперечувати ні факту отримання повідомлення, ні автентичності його змісту.

Проста автентифікація

Однією з поширених схем автентифікації є проста автентифікація, яка заснована на застосуванні традиційних багаторазових паролів з одночасним узгодженням засобів їх використовування і обробки. Автентифікація на основі багаторазових паролів - простий і наочний приклад використовування інформації, що розділяється. Поки в більшості видів захищених  мереж доступ клієнта до серверу дозволяється по паролю. Проте все частіше застосовуються більш ефективні засоби, наприклад програмні і апаратні системи автентифікації на основі одноразових паролів та цифрових сертифікатів.

Автентифікація на основі багаторазових паролів

Базовий принцип «єдиного входу» припускає достатність одноразового проходження користувачем процедури автентифікації для доступу до всіх мережних ресурсів. Тому в сучасних операційних системах передбачається централізована служба автентифікації, яка виконується одним з серверів мережі і використовує для своєї роботи базу даних, де зберігаються облікові записи користувачів мережі. В ці облікові дані разом з іншою інформацією включені ідентифікатори і паролі користувачів.

Процедуру простої автентифікації користувача в мережі можна уявити таким чином. При спробі логічного входу в мережу користувач набирає на клавіатурі комп'ютера свої ідентифікатор і пароль. Ці дані поступають для обробки на сервер автентифікації. В базі даних, що зберігається на сервері автентифікації, по ідентифікатору користувача знаходиться відповідний запис; з нього витягується пароль і порівнюється з тим паролем, який ввів користувач. Якщо вони співпали, то автентифікація пройшла успішно, користувач одержує легальний статус і ті права на ресурси мережі, які визначені для його статусу системою авторизації.

В схемі простої автентифікації передача пароля і ідентифікатора користувача може проводитися наступними способами:

  •  в незашифрованому вигляді. Наприклад, згідно протоколу парольної автентифікації PAP (Password Authentication Protocol) паролі передаються по лінії зв'язку у відкритій незахищеній формі;
  •  в захищеному вигляді. Всі передавані дані (ідентифікатор і пароль користувача, випадкове число і мітки часу) захищені за допомогою шифрування або однонаправленої функції.

Автентифікація на основі одноразових паролів

Схеми автентифікації, засновані на традиційних багаторазових паролях, не володіють достатньою безпекою. Такі паролі можна перехопити, розгадати, підглянути або просто вкрасти. Більш надійними є процедури автентифікації на основі одноразових паролів. Суть схеми одноразових паролів - використовування різних паролів при кожному новому запиті на надання доступу. Одноразовий динамічний пароль дійсний тільки для одного входу в систему,  потім його дія закінчується. Навіть якщо хтось перехопив його, пароль виявиться даремним. Динамічний механізм вибору пароля - один з кращих способів захисту від загроз перехоплення паролів.

Розрізняють наступні способи реалізації принципу одноразових паролів:

  •  механізм часових міток на основі системи єдиного часу;
  •  загальний для користувача і перевіряючого список випадкових паролів і надійний механізм їх синхронізації;
  •  загальний генератор випадкових чисел з одним і тим же початковим значенням для користувача і перевіряючого.

В основі автентифікації з одноразовими паролями лежить процедура типу «запит-відповідь». Генерація одноразових паролів може здійснюватися апаратним або програмним способом. Апаратні засоби автентифікації на основі одноразових паролів часто реалізуються у вигляді мініатюрних пристроїв з вбудованим мікропроцесором. Зовнішньо ці пристрої схожі на платіжні пластикові картки. Такі карти звичайно називають ключами. В них можуть бути клавіатура і невелике дисплейне вікно. Широко відома апаратна реалізація технології одноразових паролів SecurlD компанії Security Dynamics. Існують і програмні реалізації засобів автентифікації на основі одноразових паролів у вигляді програмних ключів, зокрема продукт Softoken компанії Enigma Logic. Програмні ключі розміщуються на гнучкому магнітному диску у вигляді звичайної програми з програмним генератором одноразових паролів.

При спробі логічного входу в систему користувач повідомляє системі свій ідентифікатор і потім вводить послідовність цифр, яку повідомляє йому апаратний або програмний ключ з вбудованим генератором одноразових паролів. Ключ циклічно генерує новий пароль у вигляді нової послідовності цифр через невеликі постійні інтервали часу. Сервер автентифікації порівнює введену користувачем цифрову послідовність з виробленим власним значенням і залежно від результату цього порівняння дозволяє або не дозволяє користувачу здійснити логічний вхід в систему. Як сервер автентифікації можуть бути використані виділений комп'ютер або програма, виконувана на звичайному сервері.

На практиці отримала також широке розповсюдження схема автентифікації на основі одноразових паролів, запропонована Лампортом. Суть даного методу полягає в багатократному використовуванні партнерами по автентифікаціоному обміну односторонньої функції для генерації послідовності одноразових паролів, що розділються.

Автентифікація на основі сертифікатів

Коли число користувачів в мережі вимірюється мільйонами, процедура попередньої реєстрації користувачів, пов'язана з призначенням і зберіганням паролів користувачів, стає вкрай громіздкою і практично погано реалізованою. В таких умовах автентифікація на основі цифрових сертифікатів служить раціональною альтернативою застосуванню паролів.

При використовуванні цифрових сертифікатів комп'ютерна мережа, яка дає доступ до своїх ресурсів, не зберігає ніякої інформації про своїх користувачів. Цю інформацію користувачі надають самі в своїх запитах - сертифікатах. Таке рішення масштабується набагато легше, ніж варіант з використанням паролів централізованою базою даних. При цьому задача зберігання секретної інформації, зокрема закритих ключів, покладається тепер на самих користувачів.

Цифрові сертифікати, що засвідчують особу користувача, видаються по запитах користувачів спеціальними уповноваженими організаціями - центрами сертифікації СА при виконанні певних умов. Слід зазначити, що сама процедура отримання сертифіката також включає етап перевірки автентичності (тобто автентифікації) користувача. Тут як перевіряюча сторона виступає сертифікуюча організація.

Для отримання сертифіката клієнт повинен направити в центр сертифікації СА зведення, що засвідчують його особу, і свій відкритий ключ. Перелік необхідних даних залежить від типу одержуваного сертифіката. Сертифікуюча організація після перевірки доказів автентичності користувача поміщає свій цифровий підпис у файл, що містить відкритий ключ і відомості про користувача, і видає йому сертифікат, підтверджуючи факт приналежності даного відкритого ключа конкретній особі.

Сертифікат представляє собою електронну форму, в якій міститься наступна інформація:

  •  відкритий ключ власника даного сертифіката;
  •  відомості про власника сертифіката, наприклад ім'я, електронна адреса, найменування організації, в якій працює даний співробітник і т.п.;
  •  найменування сертифікуючої організації, що видала цей сертифікат;
  •  електронний підпис сертифікуючої організації - зашифровані закритим ключем цієї організації дані, що містяться в сертифікаті.

Сертифікат є засобом автентифікації користувача при його зверненні до мережних ресурсів. При цьому роль перевіряючої сторони грають сервери автентифікації корпоративної мережі. Сертифікати можна використовувати не тільки для автентифікації, але і для надання певних прав доступу. Для цього в сертифікат вводяться додаткові поля, в яких вказується приналежність його власника до тієї або іншої категорії користувачів.

Слід особливо відзначити тісний зв'язок відкритих ключів з сертифікатами. Сертифікат є не тільки посвідченням особи, але і посвідченням приналежності відкритого ключа. Цифровий сертифікат встановлює і гарантує відповідність між відкритим ключем і його власником. Це запобігає загрозі підміни відкритого ключа.

Застосування сертифікатів засновано на припущенні, що сертифікуючих організацій відносно небагато, і їх відкриті ключі можуть бути доступні всім зацікавленим особам і організаціям (наприклад, за допомогою публікацій в журналах).

При реалізації процесу автентифікації на основі сертифікатів винятково важливо рішення питання про те, хто буде виконувати функції сертифікуючої організації. Цілком природним є рішення, при якому задачу забезпечення своїх співробітників сертифікатами берет на себе саме підприємство. На підприємстві зберігається достатньо багато відомостей про співробітників, а отже, воно може узяти на себе задачу підтвердження їх особи. Це спрощує процедуру первинної автентифікації при видачі сертифіката. Підприємства можуть використовувати існуючі програмні продукти, що забезпечують автоматизацію процесів генерації, видачі і обслуговування сертифікатів. Наприклад, компанія Netscape Communications пропонує свої сервери підприємствам для випуску ними власних сертифікатів.

Альтернативне рішення проблеми виконання функцій сертифікуючої організації - залучення на комерційній основі незалежних центрів по видачі сертифікатів. Такі послуги пропонує, зокрема, сертифікуючий центр компанії Verisign. Її сертифікати задовольняють вимогам міжнародного стандарту Х.509 і використовуються у ряді продуктів захисту даних, наприклад в протоколі захищеного каналу SSL.

Біометрична ідентифікація та автентифікація користувача

Процедури ідентифікації і автентифікації користувача можуть базуватися не тільки на секретній інформації, якою володіє користувач (пароль, секретний ключ, персональний ідентифікатор і т.п.).

Останнім часом все більше поширення набуває біометрична ідентифікація і автентифікація, що дозволяє упевнено ідентифікувати потенційного користувача шляхом вимірювання фізіологічних параметрів і характеристик людини, особливостей його поведінки.

Відзначимо основні достоїнства біометричних методів ідентифікації і автентифікації в порівнянні з традиційними:

  •  високий ступінь достовірності ідентифікації по біометричних ознаках через їх унікальність;
  •  невіддільність біометричних ознак від дієздатної особи;
  •  трудність фальсифікації біометричних ознак.

В якості біометричних ознак, які можуть бути використані при ідентифікації потенційного користувача, можна виділити наступні:

  •  узор райдужної оболонки і сітківки очей;
  •  відбитки пальців;
  •  геометрична форма руки;
  •  форма і розміри особи;
  •  особливість голосу;
  •  біомеханічні характеристики рукописного підпису;
  •  біомеханічні характеристики «клавіатурного почерку».

При реєстрації користувач повинен продемонструвати один або кілька разів свої характерні біометричні ознаки. Ці ознаки (відомі як справжні) реєструються системою в якості контрольного «зображення» законного користувача. Таке «зображення» зберігається в електронній формі і використовується для перевірки ідентичності кожного, хто видає себе за відповідного законного користувача. Залежно від збігу або неспівпадання сукупності пред'явлених ознак із зареєстрованими в контрольному «зображенні» той, що їх пред'явив признається легальним користувачем (при збігу) або нелегальним (при неспівпаданні).

Системи ідентифікації по узору райдужної оболонки і сітківки очей можуть бути розділені на два класи:

  •  використовуючі малюнок райдужний оболонки очі;
  •  використовуючі малюнок кровоносних судин сітківки очі.

Оскільки вірогідність повторення даних параметрів рівна 10-78, подібні системи є найбільш надійними серед всіх біометричних систем. Такі засоби ідентифікації застосовуються там, де потрібний високий рівень безпеки (наприклад, в США в зонах військових і оборонних об'єктів).

Системи ідентифікації по відбитках пальців - найпопулярніші. Одній з основних причин їх широкого розповсюдження послужила наявність великих банків даних по відбитках пальців. Основними користувачами подібних систем у всьому світі є поліція, різні державні і деякі банківські організації.

Системи ідентифікації по геометричній формі руки використовують сканери форми руки, звичайно встановлювані на стінах. Слід зазначити, що переважна більшість користувачів віддає перевагу системам саме цього типу, а не описаним вище.

Системи ідентифікації по обличчю і голосу найбільш доступні через їх дешевизну, оскільки велика частина сучасних комп'ютерів оснащена відео-  і аудіо- засобами. Системи даного класу широко застосовуються при віддаленій ідентифікації суб'єкта доступу в телекомунікаційних мережах.

Системи ідентифікації осіб по динаміці рукописного підпису враховують інтенсивність кожного зусилля підписуючого, частотні характеристики написання кожного елемента підпису і його зображення в цілому.

Системи ідентифікації по біомеханічних характеристиках «клавіатурного почерку» грунтуються на тому, що моменти натиснення і відпуску клавіш при наборі тексту на клавіатурі істотно відрізняються в різних користувачів. Динамічний ритм набору («клавіатурний почерк») дозволяє побудувати достатньо надійні засоби ідентифікації. У разі виявлення зміни «клавіатурного почерку» користувача йому автоматично забороняється робота на ЕОМ.

Слід зазначити, що застосування біометричних параметрів при ідентифікації суб'єктів доступу автоматизованих систем поки не отримало належного нормативно-правового забезпечення, зокрема у вигляді стандартів. Тому застосування систем біометричної ідентифікації допускається тільки в автоматизованих системах, що оброблюють і зберігають персональні дані, що становлять комерційну і службову таємницю.

Строга автентифікація

Ідея строгої автентифікації, що реалізована в криптографічних протоколах, полягає в наступному. Сторона, що перевіряється, доводить свою автентичність перевіряючій стороні, демонструючи знання якого-небудь секрету, який, наприклад, може бути попередньо розподілений безпечним способом між сторонами автентифікаційного обміну. Доказ знання секрету здійснюється за допомогою послідовності запитів і відповідей з використанням криптографічних методів і засобів.

Істотним є той факт, що сторона, що доводить, демонструє тільки знання секрету, але сам він в ході автентифікаційного обміну не розкривається. Це забезпечується за допомогою відповідей сторони на різні запити перевіряючої сторони. При цьому результуючий запит залежить тільки від призначеного для користувача секрету і початкового запиту, який звичайно представляє довільно вибране на початку протоколу велике число.

В більшості випадків строга автентифікація полягає в тому, що кожний користувач автентифікується по ознаці володіння своїм секретним ключем. Інакше кажучи, користувач має нагоду визначити, чи володіє його партнер по зв'язку належним секретним ключем і чи може використовувати цей ключ для підтвердження того, що дійсно є справжнім партнером по інформаційному обміну.

Відповідно до рекомендацій стандарту Х.509  розрізняють процедури строгої автентифікації наступних типів:

  •  одностороння аутентифікація;
  •  двостороння аутентифікація;
  •  трибічна аутентифікація.

Одностороння автентифікація передбачає обмін інформацією тільки в одному напрямі. Даний тип автентифікації дозволяє:

  •  підтвердити автентичність тільки однієї сторони інформаційного обміну;
  •  знайти порушення цілісності передаваної інформації;
  •  знайти проведення атаки типу «повтор передачі»;
  •  гарантувати, що передаваними автентифікаційними даними може скористатися тільки перевіряюча сторона.

Двостороння автентифікація в порівнянні з односторонньою, містить додаткову відповідь перевіряючої сторони стороні, яка повиннна переконати сторону, що доводить, в тому, що зв'язок встановлюється саме з тим партнером, якому були призначені аутентифікаційні дані.

Трибічна автентифікація містить додаткову передачу даних від сторони, що доводить, перевіряючій. Такий підхід дозволяє відмовитися від використовування міток часу при проведенні автентифікації.

Слід зазначити, що дана класифікація достатньо умовна. Відзначені особливості носять більшою мірою теоретичний характер. На практиці набір використовуваних прийомів і засобів безпосередньо залежить від конкретних умов реалізації процесу автентифікації. Необхідно також враховувати, що проведення строгої автентифікації вимагає обов'язкового узгодження сторонами використовуваних криптографічних алгоритмів і ряду додаткових параметрів.

Залежно від використовуваних криптографічних алгоритмів протоколи строгої автентифікації можна розділити на наступні групи:

  •  протоколи строгої автентифікації на основі симетричних алгоритмів шифрування;
  •  протоколи строгої автентифікації на основі однонаправлених ключових хэш-функцій;
  •  протоколи строгої автентифікації на основі асиметричних алгоритмів шифрування;
  •  протоколи строгої автентифікації на основі алгоритмів електронного цифрового підпису.

Протоколи автентифікації з нульовою передачею знань

Широке розповсюдження інтелектуальних карт (смарт-карт) для різноманітних комерційних, цивільних і військових застосувань (кредитні карти, карти соціального страхування, карти доступу в приміщення, що охороняється, комп'ютерні паролі і ключі і т.п.) зажадало забезпечення безпечної ідентифікації і автентифікації таких карт і їх власників. В багатьох додатках головна проблема полягає в тому, щоб при пред'явленні інтелектуальної карти оперативно знайти обман і відмовити обманщику в допуску, відповіді або обслуговуванні.

Розглянуті раніше схеми простої автентифікації слабо відповідають вимогам вказаних додатків. Один з істотних недоліків протоколів простої автентифікації полягає в тому, що після того, як той, що доводить, передасть перевіряючому свій пароль, перевіряючий може, використовуючи даний пароль, видати себе за того, що перевіряється. Небагато чим краще йде справа з протоколами строгої аутентифікації. Річ у тому, що учасник А, відповідаючи на запити учасника В, зобов'язаний продемонструвати знання секретного ключа; при цьому передавана інформація не може бути напряму використана учасником В. Проте деяка її частина допоможе учаснику В отримати додаткову інформацію про секрет учасника А. Наприклад, учасник В має нагоду так сформувати запити, щоб передавані відповіді аналізувалися з ціллю витягання з них додаткової інформації.

Для безпечної реалізації процедур автентифікації розроблені протоколи автентифікації з нульовою передачею знань. Секретний ключ власника карти стає невід'ємною ознакою його особи. Доказ знання секретного ключа з нульовою передачею цього знання служить доказом автентичності особи власника карти. Автентифікацію з нульовою передачею знання можна реалізувати за допомогою демонстрації знання секрету, проте перевіряючий повинен бути позбавлений можливості одержувати додаткову інформацію про секрет того хто доводить свою автентичність. Кажучи точніше, протоколи автентифікації у вигляді доказу з нульовим знанням дозволяють встановити істинність твердження і при цьому не передавати якої-небудь додаткової інформації про саме твердження.

Резюме

З кожним зареєстрованим в комп'ютерній системі суб'єктом (користувачем або процесом, діючим від імені користувача) зв'язана деяка інформація, що однозначно ідентифікує його.

Ідентифікація - це процедура розпізнавання користувача по його ідентифікатору (імені). Ця функція виконується в першу чергу, коли користувач робить спробу увійти до мережі.

Автентифікація - процедура перевірки автентичності, що дозволяє достовірно переконатися, що користувач є тим, ким він себе оголошує.

Ідентифікація і аутентифікація - взаємозв'язані процеси розпізнавання і перевірки автентичності суб'єктів (користувачів). Саме від них залежить рішення системи, чи можна дозволити доступ до ресурсів системи конкретному користувачу або процесу.

Після того, як суб'єкт ідентифікований і автентифікований, виконується його авторизація. Це процедура надання суб'єкту певних прав і ресурсів в даній системі; іншими словами, авторизація встановлює сферу його дії і доступні йому ресурси КС.

Питання для самоперевірки

  1.  Що таке проста автентифікація?
  2.  Що таке строга автентифікація?
  3.  Чим характизуються процеси автентифікації, що володіють властивістю доказу з нульовим знанням?
  4.  Які основні атаки на протоколи автентифікації ви знаєте?
  5.  Що таке автентифікація на основі багаторазових паролів7
  6.  Що таке автентифікація на основі одноразових паролів?
  7.  Що таке автентифікація на основі сертифікатів?
  8.  Які типи процедури строгої автентифікації ви знаєте?


 

А также другие работы, которые могут Вас заинтересовать

11153. Конфлікт інтересів 31 KB
  Конфлікт інтересів Конфлікт інтересів це ситуація зіткнення інтересів різних заінтересованих у діяльності АТ осіб груп осіб у питаннях стратегічного бачення майбутнього товариства а також формування використання розподілу та управління матеріальними та нематер
11154. Корпоративна власність. Економічна роль статутного капіталу 97.5 KB
  Корпоративна власність. Економічна роль статутного капіталу. 1. КОРПОРАТИВНА ВЛАСНІСТЬ. Корпоративна власність це привласнення засобів умов та результатів праці групою акціонерів. Корпоративна власність поділяється на такі види: 1Проста корпоративна власніст
11155. Ліквідація господарського товариства 38 KB
  Ліквідація господарського товариства Припинення діяльності товариства відбувається шляхом його реорганізації злиття приєднання поділу виділення перетворення або ліквідації з дотриманням вимог антимонопольного законодавства. Стаття 91. Припинення діяльності г
11156. Надання товариством інформації своїм акціонерам 83.5 KB
  Надання товариством інформації своїм акціонерам Відповідно до діючого законодавства України існує кілька способів надання акціонерним товариством інформації своїм акціонерам: публікація в офіційних виданнях. Згідно із Законом України Про цінні папери
11157. Організаціяпроцедури реорганізації господарсьих товариств 69 KB
  Організаціяпроцедури реорганізації господарсьих товариств Для багатьох українських підприємств питання проведення реорганізації є стратегічним оскільки сприяє зміцненню позицій на ринку поглибленню та розширенню спеціалізації виробництва зниженню виробничих ви...
11158. Основні аспекти Закону України Про акціонерні товариства 73.5 KB
  Основні аспекти Закону України Про акціонерні товариства 22 жовтня 2008 Президент України підписав Закон Про акціонерні товариства далі Закон про АТ. Закон про АТ був опублікований в офіційному виданні 29 жовтня 2008 року і набрав чинності через 6 місяців з дати його
11159. Підготовка до проведення зборів акціонерів 113 KB
  Підготовка до проведення зборів акціонерів Загальні збори скликаються не менше одного разу на рік за рішенням або правління з обов'язковим узгодженням порядку денного з Спостережною радою або самої Спостережної ради. Рішення про проведення зборів повинне врахо
11160. Поняття значної угоди корпорації 43 KB
  Поняття значної угоди корпорації Акціонерне товариство є однією з найпоширеніших організаційноправових форм господарських товариств як в Україні так і в Росії. Відносна прозорість господарської діяльності акціонерних товариств і певна доступність даних про скла...
11161. Публічне та приватне акціонерні товариства 80.5 KB
  Публічне та приватне акціонерні товариства Правове положення акціонерного товариства Акціонерним товариством є комерційна організація статутний капітал якої розділено на визначену кількість акцій які засвідчують права учасників товариства по відношенню до то